Quishing

Quishing ist eine wachsende Gefahr im digitalen Alltag und bedroht Unternehmen genauso wie private Endnutzer. Cyberkriminelle nutzen beim Quishing manipulierte QR-Codes, um sensible Daten abzugreifen.

Immer mehr Unternehmen stehen dadurch vor neuen Sicherheitsrisiken. Was genau hinter dem QR-Code-Phishing steckt und wie Sie Ihr Unternehmen wirksam davor schützen, erfahren Sie bei uns.

Was ist Quishing?

Quishing ist eine spezielle Form des Phishings, bei der Angreifer manipulierte QR-Codes einsetzen. Der Begriff Quishing setzt sich aus „QR-Code“ und „Phishing“ zusammen und wird deshalb auch QR-Code-Phishing genannt.

Das Ziel der Cyberkriminellen ist, Nutzer unbemerkt auf gefälschte Webseiten zu locken. Dort  sollen die Opfer sensible Daten wie Zugangsdaten zum Online-Banking, Kreditkarteninformationen oder persönliche Angaben eingeben und somit direkt den Kriminellen in Hand geben. Auch werden über gefälschte Webseite, zu denen der QR-Code führt, Schadsoftware verbreitet.

Während beim klassischen Phishing Links in E-Mails oder Nachrichten das Einfallstor darstellen, geschieht dies beim Quishing über einen QR-Code. Für den Empfänger wirkt der Code zunächst neutral und unverdächtig. Mit einem Scan wird er jedoch direkt zu einer manipulierten Seite weitergeleitet – meist über das Smartphone, das oft außerhalb der geschützten Sicherheitsumgebung des Unternehmens genutzt wird.

Der Begriff Quishing ist eine Kombination der Worte „QR-Code“ und „Phishing“ und birgt große Gefahren. Bild: ChatGPT (Bild generiert mit KI)

Was ist ein QR-Code?

QR steht für „Quick Response“ – schnelle Antwort. Ein QR-Code ist ein zweidimensionaler Barcode, der Informationen in einem Muster aus schwarzen und weißen Quadraten speichert. Entwickelt wurde er ursprünglich für die Autoindustrie, heute ist er im Alltag allgegenwärtig.

Die Funktionsweise ist simpel: Eine Kamera oder Scanner-App erkennt die drei größeren Quadrate in den Ecken als Orientierungspunkte. Anschließend wird das restliche Muster ausgelesen, das die hinterlegten Informationen enthält. Ein QR-Code kann bis zu 7.089 Dezimalziffern oder 4.296 alphanumerische Zeichen speichern – genug für Internetadressen, Texte, Kontaktdaten oder sogar ganze PDF-Dateien.

Eingesetzt werden QR-Codes mittlerweile in nahezu allen Bereichen und genau diese Vielseitigkeit macht QR-Codes für Angreifer interessant. Hinter dem Muster lässt sich sowohl eine seriöse Information als auch eine manipulierte Zieladresse verbergen. Für Nutzer ist der Unterschied mit bloßem Auge nicht erkennbar – und genau darauf setzt Quishing.

Wie funktioniert ein Quishing-Angriff?

Ein Quishing-Angriff folgt im Kern den gleichen Mustern wie klassisches Phishing, unterscheidet sich jedoch durch die Art, wie der schädliche Link übermittelt wird. Statt eines anklickbaren Links enthält die E-Mail oder Nachricht einen QR-Code. Das Vorgehen ist dabei ähnlich: Die Empfänger erhalten eine Nachricht, die dringendes Handeln fordert.

Beispiele sind angebliche Konto-Sperrungen bei Banken, ausstehende Zahlungen bei Paketdiensten oder Sicherheitswarnungen von Streamingdiensten. Während man früher auf einen Link klicken musste, scannt der Nutzer heute den QR-Code mit dem Smartphone. Ohne es zu merken, landet er auf einer täuschend echt aussehenden Seite, auf der Login-Daten oder Zahlungsinformationen eingegeben werden sollen.

Die Gefahr liegt darin, dass der Angriff über zwei Geräte erfolgt: Die E-Mail wird auf dem geschäftlichen Rechner empfangen, der QR-Code dann mit dem Smartphone gescannt, die, wenn es sich um private Handys handelt, nicht in die Sicherheitsmaßnahmen des Unternehmens eingebunden sind. Angreifer umgehen so Firewalls oder Filtermechanismen und erhalten Zugriff auf vertrauliche Informationen.

Ein Scan genügt – schon sind persönliche Daten in Gefahr. Bild: ChatGPT (Bild generiert mit KI)

QR-Codes als unterschätztes Einfallstor

Besonders tückisch ist dabei, dass E-Mail-Security-Lösungen QR-Codes häufig nur als Bilddateien erkennen und die dahinter verborgene Adresse nicht analysieren können. Damit gelingt es Cyberkriminellen, gängige Sicherheitsbarrieren zu umgehen und Schadlinks in ansonsten unauffälligen Nachrichten zu verstecken.

Hinzu kommt, dass QR-Codes längst alltäglich sind: von digitalen Restaurantkarten über Paketdienste bis zu Banking-Apps oder Authentifizierungsverfahren. Diese alltägliche Nutzung schafft ein hohes Maß an Vertrauen, was sich wiederum Kriminelle zunutze machen – sie verwandeln das praktische Tool in eine gefährliche Falle. Die Bereitschaft, ohne weiteres Nachdenken einen QR-Code zu scannen, ist deutlich größer als auf Links in einer potenziell verdächtigen E-Mail oder auf einer fremden Website zu klicken.

Neue Social-Engineering-Maschen verschärfen das Risiko zusätzlich: Überklebte QR-Codes an E-Ladesäulen oder Parkautomaten, gefälschte Strafzettel oder manipulierte Plakate im öffentlichen Nahverkehr. All diese Varianten haben nur ein Ziel: Nutzerdaten abgreifen und im schlimmsten Fall direkten finanziellen Schaden anrichten. Die eigentliche Gefahr ist kaum erkennbar: Weiterleitungen auf gefälschte Login-Seiten, die Installation von Schadsoftware oder die unbemerkte Aktivierung von Zahlungsprozessen.

So erkennen Sie Quishing-Versuche

Einen manipulierten QR-Code auf den ersten Blick zu erkennen, ist nahezu unmöglich. Dennoch gibt es typische Anzeichen, die misstrauisch machen sollten:

• Verdächtige Absender: Die E-Mail-Adresse weicht leicht vom Original ab oder stammt von einem unbekannten Absender.
• Dringende Handlungsaufforderungen: Formulierungen wie „Ihr Konto wurde gesperrt“ oder „Bitte sofort bestätigen“ setzen Empfänger gezielt unter Druck.
• Fehlende persönliche Ansprache: Statt Ihres Namens steht in der E-Mail ein allgemeines „Sehr geehrte Kundin, sehr geehrter Kunde“.
• Rechtschreib- und Grammatikfehler: Viele Phishing-Mails sind schlecht übersetzt und enthalten auffällige Fehler.
• QR-Code ohne Kontext: Seriöse Anbieter kombinieren den Code meist mit einer klickbaren URL oder weiteren Informationen. Fehlt diese Transparenz, ist Vorsicht geboten.
• Ungewohnte Weiterleitungen: Wenn sich nach dem Scannen sofort eine Login-Maske öffnet oder Zahlungsdaten verlangt werden, sollten Sie den Vorgang sofort abbrechen.

Wichtig: Nicht alle Geräte zeigen die Zieladresse eines QR-Codes an, bevor sie geöffnet wird. Prüfen Sie deshalb, ob Ihre Kamera-App eine Vorschau der URL bietet – andernfalls empfiehlt sich eine zusätzliche Scanner-App, die diese Funktion unterstützt.

Aufmerksamkeit, Schulungen und technische Lösungen sind der beste Schutz gegen Quishing. Bild: ChatGPT (Bild generiert mit KI)

So schützen Sie sich vor Quishing

Der wirksamste Schutz gegen Quishing ist eine Kombination aus technischer Absicherung und geschulter Aufmerksamkeit. Unternehmen sollten daher mehrere Ebenen berücksichtigen:

• Vorsicht beim Scannen: QR-Codes aus unbekannten Quellen – ob in E-Mails, Briefen oder auf Plakaten – sollten grundsätzlich nicht gescannt werden.
• QR-Preview aktivieren: Moderne Smartphones und Scanner-Apps zeigen die Zieladresse vor dem Öffnen an. Mitarbeitende sollten geschult sein, diese Funktion zu nutzen und die Adresse genau zu prüfen.
• Zwei-Faktor-Authentifizierung: Selbst wenn Login-Daten abgefangen werden, kann ein zweiter Faktor wie eine SMS-TAN oder Authenticator-App den direkten Zugriff verhindern.
• Security-Awareness-Trainings: Regelmäßige Schulungen sensibilisieren Mitarbeiter für neue Angriffsmethoden. Das Risiko von Fehlverhalten sinkt deutlich, wenn alle die Gefahren kennen.
• Mobile-Security-Lösungen: Sicherheitssoftware auf Smartphones und Tablets kann QR-Codes analysieren und verdächtige Inhalte blockieren.
• Moderne E-Mail-Security: Zahlreiche Anbieter haben inzwischen Mechanismen entwickelt, die auch QR-Codes in Nachrichten prüfen.

Mit diesen Maßnahmen können Unternehmen die Gefahr deutlich verringern. Absolute Sicherheit gibt es zwar nicht, doch wer vorbereitet ist, reduziert das Risiko erheblich.

QR-Codes sicher selbst erstellen

QR-Codes sind aber nicht nur ein Risiko, sie können für Unternehmen auch ein praktisches Werkzeug sein. Mit ihnen lassen sich Webseiten, digitale Visitenkarten oder Veranstaltungsinformationen schnell und unkompliziert zugänglich machen. Die Erstellung ist unkompliziert und kann über spezielle Webseiten oder Apps erfolgen. Dabei legen Sie fest, welche Informationen hinterlegt werden sollen – etwa eine URL, ein Text oder ein PDF. Anschließend wird der Code automatisch generiert und steht als Bild- oder Vektor-Datei zur Verfügung.

Wichtig ist die Entscheidung zwischen statischen und dynamischen QR-Codes. Ein statischer Code bleibt unveränderlich. Wird die hinterlegte Zieladresse geändert, funktioniert der Code nicht mehr. Dynamische QR-Codes sind flexibler, da sich die Ziel-URL nachträglich anpassen lässt. Diese Variante ist besonders für den geschäftlichen Einsatz sinnvoll, da sie langfristig mehr Flexibilität bietet. Allerdings sind entsprechende Dienste häufig kostenpflichtig.

Unternehmen sollten zudem sorgfältig überlegen, wo sie QR-Codes platzieren. Werden sie in öffentlichen Bereichen genutzt, steigt die Gefahr, dass sie manipuliert oder überklebt und so für Quishing missbraucht werden. Im professionellen Umfeld empfiehlt sich daher ein gezielter Einsatz, etwa auf Unternehmenswebseiten, in Kundenmailings oder bei Veranstaltungen. So lässt sich der Nutzen von QR-Codes ausschöpfen, ohne die Sicherheit aus den Augen zu verlieren.

QR-Codes können leicht selbst erstellt werden. Wo sie eingesetzt werden, sollte man sich aber gut überlegen. Bild: PC-SPEZIALIST (generiert mit qrcode-generator.de)

IT-Sicherheit dank PC-SPEZIALIST

Quishing verdeutlicht, wie anpassungsfähig und raffiniert Cyberkriminelle arbeiten. QR-Codes sind aus dem Alltag nicht mehr wegzudenken und gerade diese Allgegenwärtigkeit macht sie für Angreifer so attraktiv: Mit einem einzigen Scan können sensible Daten abgegriffen oder Schadprogramme eingeschleust werden – oft unbemerkt und außerhalb der Schutzmechanismen des Unternehmens.

Für Firmen bedeutet das, dass Prävention entscheidend ist. Wachsamkeit im Umgang mit QR-Codes, regelmäßige Security-Awareness-Trainings für Mitarbeiter sowie der Einsatz moderner Sicherheitslösungen bilden die Grundlage einer wirksamen Verteidigung. Technische Schutzmaßnahmen ergänzen die menschliche Aufmerksamkeit und erschweren erfolgreiche Angriffe erheblich.

PC-SPEZIALIST unterstützt Sie dabei, diese Schutzebene aufzubauen. Unsere IT-Experten in Ihrer Nähe beraten Sie individuell, sorgen für professionellen Antivirenschutz und implementieren aktuelle Security-Lösungen, die genau auf die Anforderungen kleiner und mittelständischer Unternehmen abgestimmt sind, damit Ihre Systeme widerstandsfähig gegenüber Angriffsmethoden wie Quishing bleiben.

_______________________________________________

Quellen: it-daily, checkpoint, cloudflare, verbraucherzentrale, Unsplash/Marielle Ursua (Headerbild)